Vazamento de dados de Tangerine

Os tipos de dados listados neste incidente são: datas de nascimento, endereços de e-mail, nomes, senhas, números de telefone, endereços físicos e formas de tratamento. Telefone e endereço são dados pessoais persistentes que podem ser usados nos processos de verificação de contas de telecomunicações. Quando usados em conjunto, esses campos podem resultar em tomada de controle de contas, engenharia social, fraude, ações direcionadas no mundo físico ou violações de privacidade.

Entende-se que o campo de senha tradicional usado no passado contém o valor de hash bcrypt; se a mesma senha foi usada em outras contas, ela deve ser alterada. Nos registros que contêm senhas, o uso de senhas iguais ou semelhantes em outros serviços é um dos riscos mais críticos. Nos registros sem senhas, campos como dispositivo, localização, telefone, endereço, escolaridade, candidatura a emprego ou contexto financeiro podem tornar mensagens direcionadas mais convincentes.

O registro abrange aproximadamente 243.000 registros de clientes associados ao domínio tangerinetelecom.com.au. O incidente é classificado como um registro confirmado. Na avaliação do escopo, o número de contas, o nome de domínio, o setor, o país e as categorias de dados foram verificados separadamente. Os campos de dados exibidos ao usuário foram limitados aos que de fato constam no registro.

O setor foi corrigido para telecomunicações e prestação de serviços de internet na Austrália, e não para outros setores. Essa delimitação é especialmente importante quando há marcas com nomes semelhantes, registros que abrangem vários serviços ou setores sensíveis. O registro não foi combinado com outro evento nem ampliado de forma a criar registros duplicados, e o contexto da empresa foi esclarecido tanto quanto possível.

Clientes da Tangerine que usam a mesma combinação de telefone e e-mail em contas bancárias ou de serviços públicos estão em risco. O principal risco para essas pessoas é que os dados vazados possam ser cruzados com informações comuns usadas em outras contas. Quando o mesmo endereço de e-mail, número de telefone, nome de usuário, ID de dispositivo ou senha se repete, invasores podem tentar usar esses dados em diferentes serviços.

O contexto de telecomunicações pode ser explorado por meio de mensagens falsas sobre verificação de linha, cobrança, modem, troca de SIM ou verificação de identidade. Para usuários corporativos, destacam-se o e-mail profissional e as informações de trabalho; para usuários individuais, ganham destaque o endereço, a data de nascimento, as compras, a localização ou o contexto de vínculo com serviços e organizações. Em áreas como educação, telecomunicações, finanças, viagens, política, candidaturas a emprego e VPNs, o próprio contexto também pode aumentar o risco de ações direcionadas.

Os usuários afetados devem verificar as configurações de segurança da conta de telecomunicações, as sessões de e-mail e as solicitações de verificação recebidas por telefone. Se houver uma senha ou um campo semelhante a uma senha na lista, os usuários devem alterá-la em todas as contas em que usam a mesma senha, adotar uma senha exclusiva e ativar a autenticação multifator quando possível. Tomar medidas em apenas uma plataforma pode não ser suficiente.

Se houver campos como telefone, endereço, data de nascimento, ID de dispositivo, documento oficial de identificação, candidatura a emprego ou saldo de recompensas, os usuários devem verificar as informações de recuperação de conta, as sessões registradas, o encaminhamento de e-mails e as mensagens suspeitas. Nas instituições, os processos devem ser atualizados para lidar com alertas de funcionários, faturas falsas e tentativas de verificação de conta.

Códigos PIN robustos para clientes, autenticação multifator e alertas de troca de SIM nas contas de telecomunicações oferecem proteção de longo prazo. A longo prazo, o uso de um gerenciador de senhas, senhas exclusivas e autenticação multifator, o encerramento de contas antigas, a exclusão de campos desnecessários do perfil e a minimização de dados formam a base da segurança. Como dados pessoais permanentes não podem ser recuperados, a defesa depende de reforçar os hábitos de segurança no uso das contas.

Para empresas e instituições, devem ser reavaliados o inventário após o incidente, as permissões de acesso, o armazenamento de dados antigos, os processos de notificação e o uso de plataformas de terceiros. Para os usuários, evitar a repetição das mesmas informações de identidade em diferentes serviços e cultivar o hábito de verificar comunicações suspeitas por um segundo canal oferecem proteção duradoura.

Se seus dados corresponderem a este registro, você deve ter cuidado com solicitações falsas de verificação que possam chegar pela linha telefônica e pela conta de e-mail. Se houver uma correspondência, primeiro leia quais campos de dados estão listados e depois priorize as medidas de acordo com esses campos. Se houver uma senha, a prioridade deve ser alterá-la; se houver um documento oficial de identificação, monitorá-lo; se houver informações de localização ou dispositivo, reforçar a segurança do dispositivo; se houver dados educacionais ou de candidatura a emprego, priorizar a verificação da conta na instituição.

Avaliação final: este registro corresponde a um incidente sensível envolvendo dados de telecomunicações, pois combina campos de data de nascimento, endereço, número de telefone e senha. Você deve comparar este registro com seu próprio histórico de contas e verificar individualmente os serviços em que usa o mesmo e-mail, número de telefone, nome de usuário ou senha. Após o incidente, chamadas, mensagens, e-mails ou notificações de recuperação de conta inesperados devem ser considerados de maior risco.